CVE-2026-59230

总结

Apache Camel 中存在不当输入验证漏洞。此问题影响 Apache Camel：从 2.17.0 至 4.14.9 之前，从 4.15.0 至 4.18.4 之前，从 4.19.0 至 4.22.0 之前。 camel-mail 组件自带一种 MimeMultipart 数据格式，可对 MIME multipart 消息进行解组。当 headersInline 配置为 true 时，解组路径会将传入消息的 MIME 头复制到 Camel 消息上：它枚举除自身生成的三个标准头（Message-ID、MIME-Version 和 Content-Type）之外的所有头，并对每个头调用 setHeader，且不应用任何 HeaderFilterStrategy。这些 MIME 头的名称来自被解组的消息，因此能够影响消息的发送者可以放置一个名称属于 Camel 内部命名空间的头，并将其设置到 Exchange 上。Camel 组件会从该命名空间读取控制头以覆盖其已配置的行为——例如，当存在这样的头时，camel-sql producer 会从 Camel 头中获取要执行的语句——因此，注入的头可以改变路由中下游步骤对数据的处理方式，使其使用路由作者从未打算从消息中获取的数据。 哪些 sink 可达以及后果如何，完全取决于路由在解组步骤之后执行的操作。 camel-mail 消费者已经在其自身的入站路径上应用了头过滤策略，因此这是进入同一组件的平行入站路径，而之前的加固并未覆盖该路径。只有在 headersInline 启用时才会执行受影响的复制，而 headersInline 并非默认启用：在默认设置下，MIME 头会作为附件而非消息头呈现，因此不受影响。该行为可追溯到 2.17.0 中引入该数据格式之时，并存在于每个发布线中，直到本次修复。 建议用户升级到修复了该问题的 4.22.0 版本。如果用户使用的是 4.14.x LTS 发布流，建议升级到 4.14.9。如果用户使用的是 4.18.x 发布流，建议升级到 4.18.4。 对于无法立即升级的部署，在不需要内联头的情况下，请将 headersInline 保留为默认值 false，因为只有在启用该选项时才会执行复制。如果必须保持启用，请在解组步骤之后立即剥离 Camel 内部头，例如在任何读取控制头的 processor 或 producer 之前放置 removeHeaders(“Camel*”)，并且不要将来自不受信任发送者的 MIME 内容解组到根据头值进行分派的路由中。作为纵深防御，应将从信任边界之外到达的任何 MIME 消息的头名称视为不受信任的输入。

• CVE-2026-59230PoC

  针对 Apache Camel camel-mail MimeMultipart 标头注入（CVE-2026-59230）的概念验证复现器，演示在 Spring Boot 和 Quarkus 运行时中通过 CamelHttpUri 注入实现的 SSRF。